Уязвимости LodashLodash: известные уязвимости и безопасные версии

Уязвимости и безопасная версия по веткам

Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.

Даты поддержки показаны только для библиотек, которые отслеживает endoflife.date.

Записи

Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.

• CVE-2026-4800есть код эксплойта2026-03-31

  lodash vulnerable to Code Injection via `_.template` imports key names

  Затронутые версии: >= 4.0.0, < 4.18.0 · < 4.17.21

  критическая 9.8

  Исправлено в: 4.17.21, 4.18.0

  EPSS 2,6%

• CVE-2026-29502026-03-31

  lodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit`

  Затронутые версии: < 4.18.0 · >= 4.0.0, < 4.17.23

  средняя 5.3

  Исправлено в: 4.17.23, 4.18.0

• CVE-2025-13465есть код эксплойта2026-01-21

  Prototype Pollution Vulnerability in Lodash _.unset and _.omit functions

  Затронутые версии: >= 4.0.0, < 4.17.23 · < 4.18.0

  средняя 6.9

  Исправлено в: 4.17.23, 4.18.0

  EPSS 1,8%

• CVE-2021-23337есть код эксплойта2021-02-15

  Lodash versions prior to 4.17.21 are vulnerable to Command Injection via the template function.

  Затронутые версии: < 4.17.21 · >= 4.0.0, < 4.18.0

  высокая 7.2

  Исправлено в: 4.17.21, 4.18.0

  EPSS 21,3%

• CVE-2020-285002021-02-15

  Regular Expression Denial of Service (ReDoS)

  Затронутые версии: >= 4.0.0, < 4.17.21

  средняя 5.3

  Исправлено в: 4.17.21

  EPSS 7,3%

• CVE-2020-8203есть код эксплойта2020-07-15

  Prototype pollution attack when using _.zipObjectDeep in lodash before 4.17.20.

  Затронутые версии: >= 3.7.0, < 4.17.19

  высокая 7.4

  Исправлено в: 4.17.19

  EPSS 5,2%

• CVE-2019-10744есть код эксплойта2019-07-25

  Versions of lodash lower than 4.17.12 are vulnerable to Prototype Pollution.

  Затронутые версии: < 4.17.12

  критическая 9.1

  Исправлено в: 4.17.12

  EPSS 5%

• CVE-2019-10102662019-07-17

  lodash prior to 4.17.11 is affected by: CWE-400: Uncontrolled Resource Consumption.

  Затронутые версии: >= 4.7.0, < 4.17.11

  средняя 6.5

  Исправлено в: 4.17.11

  EPSS 3%

• CVE-2018-164872019-02-01

  A prototype pollution vulnerability was found in lodash <4.17.11 where the functions merge, mergeWith, and defaultsDeep can be tricked into

  Затронутые версии: < 4.17.11

  средняя 5.6

  Исправлено в: 4.17.11

  EPSS 1,4%

• CVE-2018-37212018-06-06

  lodash node module before 4.17.5 suffers from a Modification of Assumed-Immutable Data (MAID) vulnerability via defaultsDeep, merge, and mer

  Затронутые версии: < 4.17.5

  средняя 6.5

  Исправлено в: 4.17.5

  EPSS 2,3%